# FritzBox WireGuard: NetBIOS-Option & SMB / SAMBA

Beschreibung:  
  
Fehler 80004005 bedeuet entweder Benuterzname Kennwort sind falsch, bzw. im Credentialmanager beschädigt.  
Dann in der Systemsteuerung Anmeldeinformationen diese löschen neu anmelden oder, es ist eine Fritzbox als Wireguard Client konfiguriert zum Zugriff auf den Zielserver.

<header id="bkmrk-warum-windows-dateif">[![image.png](https://wiki.hacker-net.de/uploads/images/gallery/2026-05/scaled-1680-/BkiSS8PZZZpSdWFK-image.png)](https://wiki.hacker-net.de/uploads/images/gallery/2026-05/BkiSS8PZZZpSdWFK-image.png)

<div class="badge"><span style="color: rgb(0, 0, 0);">  
  
Warum Windows-Dateifreigaben über WireGuard-VPN ohne die NetBIOS-Option nicht funktionieren — auch bei direkter IP-Adresse</span></div></header><nav id="bkmrk-das-problem-hintergr">- [Das Problem](#bkmrk-%F0%9F%94%8D-das-problem-in-der)
- [Hintergrund](#bkmrk-%F0%9F%93%9A-hintergrund%3A-smb-v)
- [Protokolle &amp; Ports](#bkmrk-%F0%9F%94%8C-protokolle-%26-ports)
- [Was passiert](#bkmrk-%F0%9F%94%84-was-passiert-beim-)
- [Warum auch direkte IP?](#bkmrk-%E2%9D%93-warum-scheitert-es)
- [FritzBox intern](#bkmrk-%E2%9A%99%EF%B8%8F-fritzbox-interne-)
- [Fix](#bkmrk-%F0%9F%9B%A0%EF%B8%8F-fix-%26-empfehlunge)
- [Quellen](#bkmrk-%F0%9F%93%8E-quellen-avm%3A-wireg)

</nav>### Inhaltsverzeichnis

<div class="container" id="bkmrk-das-problem-in-der-p"><div class="toc">1. [Das Problem in der Praxis](#bkmrk-%F0%9F%94%8D-das-problem-in-der)
2. [Hintergrund: SMB vs. NetBIOS](#bkmrk-%F0%9F%93%9A-hintergrund%3A-smb-v)
3. [Protokolle &amp; Ports im Überblick](#bkmrk-%F0%9F%94%8C-protokolle-%26-ports)
4. [Was passiert beim Verbindungsaufbau?](#bkmrk-%F0%9F%94%84-was-passiert-beim-)
5. [Warum scheitert es auch bei direkter IP-Eingabe?](#bkmrk-%E2%9D%93-warum-scheitert-es)
6. [FritzBox-interne Mechanik](#bkmrk-%E2%9A%99%EF%B8%8F-fritzbox-interne-)
7. [Fix &amp; Empfehlungen](#bkmrk-%F0%9F%9B%A0%EF%B8%8F-fix-%26-empfehlunge)
8. [Quellen](#bkmrk-%F0%9F%93%8E-quellen-avm%3A-wireg)

</div><section id="bkmrk-%F0%9F%94%8D-das-problem-in-der">## <span class="icon">🔍</span> Das Problem in der Praxis

Wer über eine FritzBox, die als WireGuard-Client konfiguriert ist, auf Windows-Dateifreigaben (SMB/CIFS) im Remote-Netz zugreift, erlebt oft folgenden Fehler:

```
\\192.168.2.11\Freigabe Fehlercode: 0x80004005 "Zugriff verweigert" / "Auf Netzwerkressource kann nicht zugegriffen werden"
```

Das Verwirrende: Port-Checks auf TCP 445 schlagen durch, die Authentifizierung klappt in separaten Test-Tools — aber Windows Explorer und `net use` scheitern zuverlässig.

<div class="callout info"><div class="icon">💡</div><div class="content">**Die Lösung** In der FritzBox-Oberfläche unter dem WireGuard-Peer den Haken bei **"NetBIOS über diese Verbindung zulassen"** setzen. Danach funktioniert der Zugriff sofort — ohne Neustart.</div></div>Aber *warum* ist das nötig? Und warum hilft es sogar, wenn man gar keinen Hostnamen, sondern direkt die IP-Adresse eingibt?

</section><section id="bkmrk-%F0%9F%93%9A-hintergrund%3A-smb-v">## <span class="icon">📚</span> Hintergrund: SMB vs. NetBIOS

SMB (Server Message Block) ist das Windows-Protokoll für Dateifreigaben. Es existiert in zwei grundlegend verschiedenen Betriebsmodi:

#### ✅ Modernes SMB (Direct Hosting)

<div class="two-col"><div class="card ok-card">- <span class="dot">·</span> TCP Port **445**
- <span class="dot">·</span> SMB 2.x und 3.x
- <span class="dot">·</span> Ab Windows Vista / Server 2008
- <span class="dot">·</span> Kein NetBIOS benötigt
- <span class="dot">·</span> Direkte TCP-Verbindung
- <span class="dot">·</span> Sicherer, effizienter

</div><div class="card fail-card">  
</div></div>#### ⚠️ Legacy SMB über NetBIOS

<div class="two-col"><div class="card fail-card">- <span class="dot">·</span> TCP Port **139**
- <span class="dot">·</span> SMB 1.0 / CIFS
- <span class="dot">·</span> Ältere Systeme, NAS-Geräte
- <span class="dot">·</span> Benötigt NBNS (Port 137)
- <span class="dot">·</span> Namensauflösung über Broadcast
- <span class="dot">·</span> Sicherheitsrisiken bekannt

</div></div><div class="callout warn"><div class="icon">⚠️</div><div class="content">**Das zentrale Problem** Windows versucht beim Verbindungsaufbau *immer beide Wege gleichzeitig*. Auch wenn der Server modernes SMB auf Port 445 spricht, sendet Windows parallel NetBIOS-Queries (Broadcasts auf UDP 137/138). Diese Broadcasts werden von WireGuard-Tunneln und den Firewalls dahinter standardmäßig **gefiltert**.</div></div></section><section id="bkmrk-%F0%9F%94%8C-protokolle-%26-ports">## <span class="icon">🔌</span> Protokolle &amp; Ports im Überblick

<table class="port-table"><thead><tr><th>Port</th><th>Protokoll</th><th>Dienst</th><th>Ohne NetBIOS-Option</th><th>Zweck</th></tr></thead><tbody><tr><td>`445/TCP`</td><td>TCP</td><td>Direct SMB</td><td><span class="badge-ok">DURCH</span></td><td>Modernes SMB, direkte Verbindung</td></tr><tr><td>`137/UDP`</td><td>UDP</td><td>NBNS (Name Service)</td><td><span class="badge-fail">BLOCKIERT</span></td><td>NetBIOS-Namensauflösung via Broadcast</td></tr><tr><td>`138/UDP`</td><td>UDP</td><td>NetBIOS Datagram</td><td><span class="badge-fail">BLOCKIERT</span></td><td>Verbindungslose Broadcasts, Netzwerk-Discovery</td></tr><tr><td>`139/TCP`</td><td>TCP</td><td>NetBIOS Session</td><td><span class="badge-fail">BLOCKIERT</span></td><td>Legacy SMB über NetBIOS (ältere Systeme)</td></tr></tbody></table>

NetBIOS wurde ursprünglich für kleine Netzwerke der 1980er Jahre entwickelt und basiert konzeptionell auf **Broadcasts**. Broadcasts können per Design **nicht durch IP-Router geleitet werden**. WireGuard als Layer-3-Protokoll routet nur Unicast-Pakete — Broadcasts bleiben am Tunnel-Ende stecken.

</section><section id="bkmrk-%F0%9F%94%84-was-passiert-beim-">## <span class="icon">🔄</span> Was passiert beim Verbindungsaufbau?

### ❌ Ohne "NetBIOS aktivieren"

<div class="flow"><div class="flow-row"><div class="flow-step warn"><div class="num">Schritt 1</div>Windows-Client gibt `\\192.168.2.11\Freigabe` ein</div></div><div class="flow-arrow">↓</div><div class="flow-row"><div class="flow-step warn"><div class="num">Schritt 2</div>Windows startet parallel: TCP-Verbindung auf Port 445 *und* NetBIOS-Query auf UDP 137</div></div><div class="flow-arrow">↓</div><div class="flow-row"><div class="flow-step fail"><div class="num">Schritt 3</div>UDP 137-Broadcast → WireGuard-Tunnel → FritzBox-Firewall filtert → **kein NBNS-Response**</div></div><div class="flow-arrow">↓</div><div class="flow-row"><div class="flow-step fail"><div class="num">Schritt 4</div>Windows wartet auf NBNS-Timeout, versucht LLMNR als Fallback — auch geblockt</div></div><div class="flow-arrow">↓</div><div class="flow-row"><div class="flow-step fail"><div class="num">Schritt 5</div>Verbindungsaufbau schlägt fehl: **0x80004005 — Zugriff verweigert**</div></div></div>### ✅ Mit "NetBIOS aktivieren"

<div class="flow"><div class="flow-row"><div class="flow-step ok"><div class="num">Schritt 1</div>Windows-Client gibt `\\192.168.2.11\Freigabe` ein</div></div><div class="flow-arrow">↓</div><div class="flow-row"><div class="flow-step ok"><div class="num">Schritt 2</div>Windows startet parallel: TCP Port 445 *und* NBNS-Query (UDP 137)</div></div><div class="flow-arrow">↓</div><div class="flow-row"><div class="flow-step ok"><div class="num">Schritt 3</div>FritzBox lässt UDP 137/138 und TCP 139 durch (`dont_filter_netbios = yes`)</div></div><div class="flow-arrow">↓</div><div class="flow-row"><div class="flow-step ok"><div class="num">Schritt 4</div>NBNS-Response kommt zurück — Windows nimmt das schnellste</div></div><div class="flow-arrow">↓</div><div class="flow-row"><div class="flow-step ok"><div class="num">Schritt 5</div>SMB-Session wird aufgebaut — Freigabe erreichbar ✓</div></div></div></section><section id="bkmrk-%E2%9D%93-warum-scheitert-es">## <span class="icon">❓</span> Warum scheitert es auch bei direkter IP-Eingabe?

<div class="highlight-box">**Die häufigste Verwunderung:** "Ich gebe doch `\\192.168.2.11\Freigabe` ein — keine Hostnamen! Warum brauche ich NetBIOS?"</div>Das liegt am Windows-SMB-Stack. Auch bei direkter IP-Eingabe sendet Windows intern zunächst eine **NBNS-Reverse-Query** — eine Art "Wer bist du?" an die Ziel-IP. Das dient der Sessionvorbereitung und Capability-Discovery, nicht nur der Namensauflösung.

Konkret: Windows sendet einen **NetBIOS Node Status Request** (UDP 137) direkt an die Ziel-IP um den NetBIOS-Namen des Ziels herauszufinden und die SMB-Session korrekt zu initialisieren. Das ist Legacy-Verhalten das auch in modernen Windows-Versionen mit SMB 2/3 beibehalten wird.

#### Windows Explorer / net use

<div class="two-col"><div class="card">- <span class="dot">·</span> Nutzt den Windows LanmanWorkstation-Dienst
- <span class="dot">·</span> Vollständiger SMB-Stack inkl. NetBIOS-Init
- <span class="dot">·</span> Sendet NBNS Node Status Request
- <span class="dot">·</span> Scheitert wenn UDP 137 geblockt ist

</div><div class="card">  
</div></div>#### Eigene SMB-Test-Tools

<div class="two-col"><div class="card">- <span class="dot">·</span> Nutzen oft eigene SMB-Bibliotheken
- <span class="dot">·</span> Direkte TCP-445-Verbindung
- <span class="dot">·</span> Überspringen die NetBIOS-Phase
- <span class="dot">·</span> Funktionieren auch ohne NetBIOS-Freigabe

</div></div><div class="callout success"><div class="icon">💡</div><div class="content">**Erklärt den scheinbaren Widerspruch** Deshalb meldet ein eigenes Test-Tool "Authentifizierung OK, Freigaben erreichbar" — während Windows Explorer gleichzeitig `0x80004005` wirft. Das Tool umgeht den Windows-Stack und damit die NetBIOS-Phase vollständig.</div></div></section><section id="bkmrk-%E2%9A%99%EF%B8%8F-fritzbox-interne-">## <span class="icon">⚙️</span> FritzBox-interne Mechanik

Hinter der UI-Option steckt ein interner FritzBox-Konfigurationsparameter:

```
# NetBIOS deaktiviert (Standard nach Stromausfall/Reset): dont_filter_netbios = no # → FritzBox-Firewall filtert UDP 137/138, TCP 139 # NetBIOS aktiviert (Haken gesetzt): dont_filter_netbios = yes # → NetBIOS-Traffic passiert den Tunnel
```

Es handelt sich dabei **nicht** um ein echtes Application-Level Gateway (ALG) — die FritzBox modifiziert den SMB-Traffic nicht. Sie öffnet lediglich Firewall-Regeln für die betreffenden NetBIOS-Ports auf dem WireGuard-Interface.

<div class="callout warn"><div class="icon">⚠️</div><div class="content">**Wichtig: Nur für Site-to-Site** AVM bietet diese Option offiziell nur für *Netzwerk-zu-Netzwerk*-WireGuard-Verbindungen an, nicht für reine Client-VPN-Profile.</div></div>### Warum nach Stromausfall weg?

Ein Stromausfall kann dazu führen, dass die FritzBox ihre WireGuard-Konfiguration aus einem älteren Checkpoint restauriert, oder dass einzelne Konfigurationsparameter auf Defaults zurückfallen. Der Default für `dont_filter_netbios` ist in manchen Firmware-Versionen `no`.

<div class="callout info"><div class="icon">📌</div><div class="content">**Historisch** In FritzOS 8.20 wurde der Default auf `no` geändert, was bei vielen Nutzern SMB-Probleme über WireGuard auslöste.</div></div></section><section id="bkmrk-%F0%9F%9B%A0%EF%B8%8F-fix-%26-empfehlunge">## <span class="icon">🛠️</span> Fix &amp; Empfehlungen

### Sofort-Fix (FritzBox-Oberfläche)

```
FritzBox UI → Internet → Freigaben → VPN (WireGuard) → WireGuard-Peer auswählen (Bearbeiten) → Haken bei "NetBIOS über diese Verbindung zulassen" setzen → Speichern
```

<div class="callout success"><div class="icon">✅</div><div class="content">Kein Neustart nötig — wirkt sofort.</div></div>### Dauerhaft absichern

Nach dem Fix die aktuelle Konfiguration als Backup exportieren: *System → Sicherung*. Dann überlebt die Einstellung den nächsten Stromausfall.

### Alternative: NetBIOS clientseitig abschalten

Langfristig sauberer: NetBIOS auf den Clients vollständig deaktivieren und nur Direct-SMB auf TCP 445 zulassen — setzt voraus, dass alle Server SMB 2+ sprechen.

```
# PowerShell (als Admin): $adapters = Get-WmiObject Win32_NetworkAdapterConfiguration -Filter "IPEnabled=True" $adapters | ForEach-Object { $_.SetTcpipNetbios(2) } # 2 = Disable NetBIOS over TCP/IP
```

<div class="callout danger"><div class="icon">⛔</div><div class="content">**Achtung:** Wenn noch ein altes NAS oder Gerät mit SMB1/CIFS im Netz ist (ältere Synology, QNAP, Windows XP), kann NetBIOS deaktivieren den Zugriff darauf brechen.</div></div></section><section id="bkmrk-%F0%9F%93%8E-quellen-avm%3A-wireg">## <span class="icon">📎</span> Quellen

- [AVM: WireGuard-VPN zwischen zwei FRITZ!Box-Netzwerken einrichten](https://fritz.com/service/vpn/wireguard-vpn-zwischen-zwei-fritzbox-netzwerken-einrichten/)
- [IP-Phone-Forum: WireGuard-VPN Zugriff SMB nicht erfolgreich](https://www.ip-phone-forum.de/threads/wireguard-vpn-zugriff-smb-nicht-erfolgreich.322908/)
- [Administrator.de: Kein SMB Zugriff über Fritzbox Wireguard](https://administrator.de/forum/kein-smb-zugriff-ueber-fritzbox-wireguard-3884234988.html)
- [Microsoft Learn: Direct hosting of SMB over TCP/IP](https://learn.microsoft.com/en-us/troubleshoot/windows-server/networking/direct-hosting-of-smb-over-tcpip)
- [4sysops: SMB port numbers explained](https://4sysops.com/archives/smb-port-number-ports-445-139-138-and-137-explained/)

</section></div>